如何针对Zabbix监控的特定User Agent禁止CloudFront缓存？

方案可行性确认 #

针对特定User Agent禁用CloudFront缓存的方案完全可行，CloudFront Functions和Lambda@Edge都能实现，且适配你源站基于名称的虚拟主机配置——因为CloudFront回源时会自动使用你配置的实际域名作为Host头，虚拟主机可以正常识别请求。

推荐解决方案（按优先级排序） #

1. CloudFront Functions（轻量低成本） #

适合简单的User Agent匹配场景，执行延迟低、费用远低于Lambda@Edge。

配置步骤：

• 登录AWS控制台进入CloudFront服务，创建新的CloudFront Function
• 粘贴以下代码（可根据你的Zabbix实际UA调整匹配规则）：

function handler(event) {
    const request = event.request;
    const userAgent = request.headers['user-agent']?.value || '';
    
    // 匹配Zabbix Agent的User Agent，可根据实际版本调整
    if (userAgent.includes('Zabbix agent')) {
        // 设置Cache-Control强制回源，不使用缓存
        request.headers['cache-control'] = { value: 'no-cache' };
        // 覆盖CloudFront默认缓存TTL为0
        request.headers['cloudfront-max-age'] = { value: '0' };
    }
    
    return request;
}

• 测试函数：用模拟请求输入包含Zabbix UA的请求，验证输出是否正确修改了请求头
• 将函数关联到你的CloudFront分发的Viewer Request事件，发布到生产环境

2. Lambda@Edge（灵活复杂场景） #

如果需要更复杂的逻辑（比如同时匹配IP、路径等），可以用Lambda@Edge。

配置步骤：

• 在us-east-1区域创建Lambda函数（Node.js runtime），粘贴以下代码：

exports.handler = async (event) => {
    const request = event.Records[0].cf.request;
    const userAgent = request.headers['user-agent']?.[0]?.value || '';
    
    if (userAgent.includes('Zabbix agent')) {
        // 强制回源，跳过CloudFront缓存
        request.headers['cache-control'] = [{ key: 'Cache-Control', value: 'no-cache' }];
    }
    
    return request;
};

• 为Lambda函数添加CloudFront触发器，关联到目标分发的Viewer Request事件
• 部署函数到Lambda@Edge

关键注意事项 #

• UA精准匹配：Zabbix的UA格式通常为Zabbix agent X.X.X，建议精准匹配避免误影响其他请求
• 回源Host头验证：确认CloudFront源配置使用的是你的实际域名，回源时Host头会自动携带该域名，虚拟主机可正常解析
• 测试验证：用curl模拟Zabbix请求，检查响应头的X-Cache字段：

  curl -A "Zabbix agent 6.0" -I https://your-cloudfront-domain.com
  

  若返回X-Cache: Miss from cloudfront，说明已成功回源

最佳实践 #

• 优先使用CloudFront Functions处理简单的UA匹配逻辑，降低成本和延迟
• 可结合CloudFront缓存策略，为Zabbix请求单独设置缓存规则（如TTL=0），与普通请求的缓存策略分离
• 监控CloudFront的缓存命中率和回源请求数，确保方案未影响正常用户的缓存效率

内容的提问来源于stack exchange，提问作者mmrn